Os websites governamentais na Europa e noutros locais ficaram offline depois de notícias de vulnerabilidades críticas numa linguagem de programação amplamente utilizada terem feito com que os operadores de websites se esforçassem para proteger os seus sistemas.
Os desenvolvedores da linguagem de programação PHP lançaram na quarta-feira novas correções urgentes, dizendo que todos os usuários foram “encorajados a atualizar imediatamente”.
Histórias recomendadas
lista de 3 itensfim da lista
O PHP é executado nos servidores que hospedam os sites, criando páginas nos bastidores antes que cheguem ao navegador do visitante. A maioria das pessoas nunca o vê, mas ele alimenta tudo, desde blogs até lojas online e portais governamentais.
As vulnerabilidades, que estavam escondidas no software há anos, foram descobertas com a ajuda da inteligência artificial. Detalhes sobre eles vazaram online na terça-feira, antes que as correções estivessem disponíveis, forçando o PHP a apressá-los.
Especialistas disseram que estavam se preparando para uma onda de invasões enquanto os hackers se adiantavam às atualizações.
Qual é o bug?
Andrew Cullen, professor de IA e segurança cibernética na Universidade de Melbourne, disse que muitos dispositivos no mundo estão conectados a um software básico, onde o bug foi encontrado.
A vulnerabilidade permite que um hacker execute código em um site, o que significa que ele pode alterar o site ou forçá-lo a divulgar informações pessoais coletadas em um banco de dados, disse Cullen à Al Jazeera.
Ambas as falhas decorrem de como o PHP lida com erros fatais, como falta de memória. Como o problema está no próprio PHP, mesmo o site mais simples que executa uma versão afetada pode ficar vulnerável, e os invasores podem ler senhas e outras credenciais da memória de um servidor, disse a empresa de segurança em nuvem Wiz. Ambas as falhas obtiveram pontuação de 9,2 em 10 na escala de gravidade padrão da indústria, colocando-as na categoria “crítica”.
As duas falhas, apelidadas de PHP2Shell, foram encontradas de forma independente por duas empresas de segurança cibernética que utilizam IA. A Califórnia, trabalhando com a OpenAI, relatou o primeiro em 11 de agosto. Wiz, que é propriedade do Google, relatou o segundo em 24 de agosto.
As vulnerabilidades permaneceram ocultas na base de código PHP por mais de uma década e teriam sido extraordinariamente complicadas para um hacker humano aproveitar, disse Wiz em comunicado.
Calif e Wiz disseram que coordenaram entre si, a equipe PHP e a OpenAI antes de tornarem públicas as vulnerabilidades.
No entanto, o chefe de segurança da Amazon, CJ Moses, disse que sua equipe de segurança detectou uma tentativa de explorar as vulnerabilidades em 17 de outubro, quatro dias antes da divulgação pública.
Moses disse que não está claro como o hacker soube das falhas enquanto os relatórios de Calif e Wiz ainda estavam sob embargo. Os pesquisadores de segurança geralmente mantêm os detalhes das falhas em segredo até que uma correção esteja pronta, para que os invasores não possam usá-las enquanto isso.
Quem pode ser potencialmente afetado?
PHP, uma linguagem que remonta ao início da década de 1990 e inicialmente significava Personal Home Page, sustenta grandes partes da web voltada ao público e está incorporada em sites WordPress, Drupal, Joomla e Magento, o que significa que qualquer vulnerabilidade crítica tem potencialmente enormes consequências.
Calif, Wiz e a empresa de infraestrutura web Cloudflare disseram que as falhas afetam o PHP 5.4 e versões posteriores, com mais de uma década de lançamentos.
Cullen disse que a vulnerabilidade era “realmente sem precedentes”, observando que o PHP alimenta mais de 70% dos sites em todo o mundo, embora os sites que foram atualizados estejam protegidos.
“Existe um risco real para o tipo de infraestrutura digital partilhada em que todos confiamos”, disse Cullen à Al Jazeera. “Há preocupação na comunidade de segurança cibernética sobre qual será o raio de ação disso, embora os desenvolvedores de PHP tenham sido muito rápidos em tentar desenvolver patches para isso.”
Cullen acrescentou que, embora a IA estivesse melhorando em segurança cibernética, também estava melhorando em ser hacker. “Isso significa que estamos desenvolvendo sistemas… que tornam a Internet mais segura, ajudando a corrigir bugs, mas também estamos tornando isso mais arriscado, descobrindo bugs e criando bugs que eles poderão hackear”, disse ele.
Qual foi o impacto até agora?
Na Holanda, a própria agência holandesa de cibersegurança ficou offline, dizendo que o tinha feito por precaução devido às vulnerabilidades. Várias organizações seguiram o exemplo e colocaram offline websites públicos, incluindo o Porto de Roterdão, o portal governamental Overheid.nl, a associação nacional de futebol KNVB, os websites dos cinco maiores partidos políticos do país e vários websites hospitalares.
O primeiro-ministro holandês, Rob Jetten, disse que estava monitorando de perto a situação.
As interrupções foram ainda mais generalizadas na Finlândia, onde o fornecedor estatal de serviços de TI Valtori disse que os serviços de rede pública do governo foram desligados “como medida de precaução”.
O Ministério do Interior da França disse que colocou todos os seus sites em manutenção preventiva.
O Serviço Público Federal de Relações Exteriores, Comércio Exterior e Cooperação para o Desenvolvimento da Bélgica disse que retirou temporariamente seus sites do ar após relatos de ataques cibernéticos explorando as vulnerabilidades do PHP, embora o centro de segurança cibernética do país tenha afirmado não ter registrado nenhum ataque a sites belgas.
O governo da Coreia do Sul elevou o nível de alerta de segurança cibernética do setor privado e ativou medidas de resposta a emergências. Ele emitiu orientações de segurança para cerca de 28.000 empresas com diretores de segurança da informação registrados e 5.900 membros de uma rede governamental de compartilhamento de informações, bem como para operadores de infraestrutura crítica, empresas de hospedagem na web e data centers.
A operadora da enciclopédia on-line Wikipédia também disse que desativou um número indeterminado de sistemas até que pudessem ser corrigidos com segurança, enquanto o Internet Archive, a extensa biblioteca on-line, disse que também ficou off-line por um breve período para lidar com o problema.
